Security Log4j漏洞解析

还是记录一下吧

refer to:
https://www.bilibili.com/video/BV1FL411E7g3/?spm_id_from=333.337.search-card.all.click&vd_source=760370308ce01ce4b34ea757917ac641

https://422926799.github.io/posts/98d13101.html

影响 log4j < 2.14

本质：log4j 有个奇怪的lookup 功能，可以显示 ${os.type} 等信息。

lookup:
https://logging.apache.org/log4j/2.x/manual/lookups.html

log4j2.enableJndiLookup=true

然后就可以执行 rce 了。

RMIserver:

EvilObj

调用：